跳到正文
10月13日 · 周二

全部论文

找到 5篇
筛选3

攻击类型

提示注入4

攻击技术

推理链操控3

系统形态

AI Agent5

攻击面/入口

用户输入28网页与界面3文档与消息3工具返回4代码仓库与依赖3记忆写入2图像与音视频6训练数据4

层

应用层5

系统组件

MCP 与技能20记忆47RAG4护栏与评审14监控器15推理链5权限与沙箱29
同一类里任选其一，不同类之间同时满足；数字是加上其他已选条件后的篇数。另有 215篇还没打标签，不在筛选结果里。
攻击面/入口：工具返回攻击面/入口：记忆写入系统组件：推理链清除全部

另有215篇论文还没打上分类标签，暂不在筛选结果里。

  1. 防御arXiv 2609.35659

    Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统

    提出 Tracekit，审计编码 Agent 的意图、推理与动作并检测账本篡改

    arXiv
    2609.35659
    发表
    层
    应用层
    场景
    coding agent
    被测模型
    Claude Code (claude -p, version 2.1)、独立评审（同一 CLI，无工具）
    摘要Tracekit 把意图、自述和动作写入可锚定的哈希链。

    Tracekit 是无第三方依赖的编码智能体审计层：把人类请求、模型自述和已执行动作并排写入可外部锚定的哈希链，执行前用正则门，事后用规则和独立模型互查。

    深度解读完整解读
  2. 攻击arXiv 2609.27542

    研究者用控制 token 注入删除 gpt-oss-20b 推理链并绕过思维链监控

    提出控制标记注入，清空工具 Agent 的思维链以绕过推理监控

    arXiv
    2609.27542
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    openai/gpt-oss-20b、google/gemma-4-26B-A4B-it、deepseek-ai/DeepSeek-R1-Distill-Qwen-7B 等4个

    摘要论文阐明控制标记注入可抑制 CoT 使监控失效并促成拒绝绕过，且工具执行受解析器宽容度影响。

    深度解读完整解读
  3. 其他arXiv 2609.12413

    SoK 综述：智能体 AI 时代的越狱攻击、防御与实践考量

    系统梳理智能体执行链路中的越狱攻击与防御并比较推理时防御

    arXiv
    2609.12413
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    Qwen3.5-4B、Llama-3.1-8B-Instruct
    摘要SoK 将越狱重放到智能体流水线，并用两种模型检验回复层防御的边际与代价。

    Mia 等人把越狱安全从单轮回复扩展到智能体的规划、记忆、工具和智能体间通信，并问既有结论在更强原生对齐下是否还成立。

    深度解读完整解读
  4. 攻击arXiv 2604.05549

    别再执着于提示词：面向 LLM Agent 红队测试的推理劫持与约束收紧

    提出 JailAgent，不改用户提示，经推理劫持与记忆投毒操纵 Agent 动作

    arXiv
    2604.05549
    发表
    层
    应用层
    场景
    AI Agent
    被测模型
    GPT-3.5-turbo、GPT-4o、GPT-5 等7个
    摘要JailAgent 不改提示词，用三阶段操纵推理与检索。

    JailAgent 是不修改用户原始提示词的 LLM 智能体红队框架。

    深度解读完整解读
  5. 攻击arXiv 2603.12277

    提示注入即角色混淆

    提出 CoT Forgery，经用户消息或工具输出注入伪造推理

    arXiv
    2603.12277
    发表
    层
    应用层
    场景
    AI Agent
    攻击者
    黑盒
    被测模型
    gpt-oss-20b、gpt-oss-120b、o4-mini 等11个
    摘要提示注入被作者解释为角色感知失败：听起来像某角色，就在表示里成为该角色。

    作者把提示注入解释成角色感知失败：标签划出的权限没有进入模型的内部几何。

    深度解读完整解读
已经到底了